【安全通告】Linux 内核 KVM/x86 重用（Use-After-Free）类型安全缺陷通告（CVE-2026-53359）
尊敬的灵梦云用户，您好！
灵梦云安全团队监测到，近日，研究人员公开披露漏洞编号 CVE-2026-53359（Januscape） 漏洞。该漏洞存在于 Linux 内核 KVM/x86 的 shadow MMU 实现中，属于释放后重用（Use-After-Free）类型安全缺陷。
攻击者在特定条件下可仅通过 guest 虚拟机侧操作触发漏洞，破坏宿主机内核内存结构，进而导致宿主机内核崩溃、来宾逃逸至宿主机、宿主机权限提升，并对同宿主机上的其他租户虚机造成安全威胁。
公开信息显示，该漏洞影响 Intel 与 AMD x86 KVM 环境，主要风险场景为接受不可信租户且启用嵌套虚拟化的云平台或虚拟化宿主机；部分发行版若 /dev/kvm 权限配置过宽，还可能带来本地提权风险。该问题影响范围可追溯至 2010 年引入的相关内核代码，修复补丁已在上游合入。
受影响的条件组合：
- Linux 内核使用 KVM/x86 虚拟化方案
- 启用了嵌套虚拟化（nested virtualization） 功能
- 宿主机接受不可信或不受控的 guest 虚拟机负载
/dev/kvm设备权限配置宽松，允许非特权用户直接访问
受影响的内核版本：
- 从 2010 年引入相关代码至修复补丁合入前的所有 Linux 内核版本
- 具体影响范围需参照各发行版的内核版本与 KVM 模块构建配置
受影响的主流平台及产品：
- Intel x86 平台 KVM 虚拟化环境
- AMD x86 平台 KVM 虚拟化环境
- 主流 Linux 发行版（Ubuntu / Debian / RHEL / CentOS / Rocky / Alma / Fedora / SUSE）的 KVM 部署
- 公有云、私有云及裸金属虚拟化平台
- 魔方云等基于 KVM 的云管理平台
- Kubernetes 节点使用 KVM 作为容器运行时虚拟化层
- 基于 KVM 的常见虚拟化管理软件：Proxmox VE（PVE）、oVirt、OpenStack（Nova 计算节点）、Citrix Hypervisor（XenServer 的 KVM 模式）、SmartX（ZBS 虚拟化平台）、ZStack、EasyStack、JDCloud（京东云底层 KVM 基础设施）
不受影响的场景：
- 未使用 KVM 的虚拟化方案（如 Xen、Hyper-V、VMware ESXi）
- 未启用嵌套虚拟化的 KVM 环境（风险显著降低）
- 已合入上游修复补丁的内核版本
漏洞参考
https://nvd.nist.gov/vuln/detail/CVE-2026-53359
https://security.googleblog.com/
为修复内核安全漏洞 CVE-2026-53359，我们将于 7月8日 22:00起 重启所有宿主机系统。
安全维护期间，相关虚拟机、容器及依赖宿主系统的服务可能出现短暂中断。请各位提前保存工作、完成必要的数据备份，不要在维护时段执行重要操作。
我们会尽快完成重启与校验工作，若出现任何异常情况，将另行通知。
感谢各位的理解与配合。
